<mark id="oztn4"></mark>
0
編者按：宅客問答是雷鋒網宅客頻道推出的一個問答新欄目。我們詢問的對象是中國所有的黑客。如果你對神秘的黑客十分好奇，有很多問題，可以在微信公眾號“宅客頻道”（微信ID：letshome）回復“問答”留言，每期我們將選取關注度較高的一些問題，請黑客回答。
上期主題是：黑客最不想聽到的一句話是什么？里面抖了很多網安圈的八卦——《男默女淚，黑客聽了這些話要暴走｜宅客問答》然后收到了讀者的熱情投票，其中，這個問題關注度較高：
為此，雷鋒網宅客頻道采訪了知道創宇公司安全服務部信息安全工程師星塵，為了配合這個主題，星塵甚至不打算上真名。
1
星塵，90后，上初中時就進入了黑客的世界，不過，當時他只是一名菜鳥旁觀者。
星塵深刻了解到黑客世界的“殘酷”是自己不小心“中了毒”。
那時，他在逛論壇，期待學習更多黑客技術提升本領時，眼睛一亮，發現了一款“特別好”的軟件，提供軟件的論壇用戶將這款軟件描繪得“天上有、地上無”。天真的星塵為了順利運行軟件，關閉了殺毒軟件，滿心歡喜的等待運行。
后果可想而知。
這款軟件暗藏了“灰鴿子”，在某種程度上，灰鴿子被定義為一款集多種控制方式于一體的木馬程序。
星塵急了，但怎么也卸不掉，無可奈何之下找到了木馬植入者的聯系方式，打算“以情動人”。兩人開始聊天，雖然對方是個比自己還小 4、5 歲的“小朋友”，星塵受到了一些“刺激”，一來二去，發現對方只是在做測試，他成功打動了對方，說服對方撤掉了自己電腦上的灰鴿子。
自此，星塵變得更加警惕：不要隨意下載軟件。
然后，他倆成了好朋友。
2
如果說，第一個故事啟蒙了星塵的“安全憂患”意識，那么，第二個故事則讓他明確在復雜的網絡世界中黑與白的界限，以及不注重隱私保護的后果。
初嘗技術滋味的星塵十分興奮，那時，他非常關注網絡上的一位喜歡已久的歌手。
每一個小粉絲都有敬業地搜集偶像信息的心路歷程。星塵發現，這位歌手喜歡寫博客，而且在博文間留下了一些線索，通過這些蛛絲馬跡，可以檢索到這位歌手的手機號。
懵懂的星塵如發現新大陸一般激動，沒有經過什么思考，就撥通了歌手的電話。
對方驚慌失措。
星塵很后悔，直言當年年少無知，但這也讓他體會到：不要在網上泄露個人隱私信息，實在有必要放聯系方式時，應該準備一個小號。
3
雷鋒網采訪當天，星塵上午 8 點左右收到一個長輩的微信，這位長輩收到了一封郵件，表示不敢點，機智地將郵件轉發給了星塵。星塵測試后，發現果然是個釣魚網址。
具體檢測過程是這樣的：
1）打開郵件。
2）點開“驗證并更新我的賬戶”，出現了這個網站：
3）輸入測試密碼。
4）提示成功。
5）在地址欄修改后綴，就變成了另一個郵箱。
星塵說，這是一個很拙劣的釣魚網站。首先，從地址欄看，和正經的官方地址欄不同；其次，頁面出現的是繁體字，和大陸地區使用習慣不符合；再者，地址欄可以修改，修改頁面也和平常遇到的賬號密碼修改提示有異。
值得警惕的是，該釣魚郵件可能是“有針對性”的釣魚。雷鋒網了解到，星塵的長輩在一家進出口貿易公司公司，要處理公司大大小小的事情，因為會將自己的郵箱地址公布在附有公司信息的頁面。現在，經常有針對公司重點部門員工發送釣魚郵件的事情發生，比如，財務部門、人力部門。2016年起，還有針對性的勒索木馬朝這些重點對象進軍。在套取郵箱地址和密碼后，攻擊者能做的事情非常多，比如，獲取郵箱內的業務往來信息、人事信息、金融信息等，造成財產損失。
所以，星塵提醒，要做到“公私信息”分離，并謹慎點擊郵件中的鏈接，注意甄別是否為釣魚郵件。
4
作為一名安全服務部信息安全工程師，星塵已經多次參加了客戶要求的滲透測試。
滲透測試到底是如何進行的？知道了滲透測試的流程，似乎就可以反推，如果不注意隱私保護，攻擊者就可以長驅直入。
1）信息收集：在網上暴露的信息，比如，HR 招聘、商務人員合作留下的公司郵箱、手機號、微信號、QQ號等，一個普通人在社交網站曬出的照片、發布的信息，隨意填寫的一份問卷調查，辦好的一張會員卡，甚至在賽博世界留下的一次不慎的評論……都可能暴露自己的信息。測試員會偽裝成客戶，與這些人聯系，獲取相應信息；
2）偽造目標公司的內部郵箱地址及內部工作人員，仿造官方頁面，編造故事，誘使目標對象點擊釣魚郵件及鏈接，獲取目標對象的郵箱賬號和密碼；
3）翻看郵箱內容，進一步套取對方OA 系統賬號和密碼，挖掘OA 漏洞，獲取服務器權限，進一步滲透。
……
當然，這只是一個流程簡述，但是，不僅是普通人，很多目標公司管理層壓根沒意識到隱私保護與防范被社工、滲透的重要性，讓星塵欣慰的是，有一家目標在被滲透后的第二天就在某網站發布了安全人員的招聘信息。
【左：堇年，右：星塵（這么多年來，第一次有人要求雷鋒網編輯用dog表情包給他打碼）】
星塵：個人郵箱和工作郵箱不要混用；
養成經常修改密碼、不同賬號設置不同密碼、不用弱密碼的好習慣，謹慎訪問安全級別比較低的網站，如果要在這種網站設置賬號和密碼，不要用自己的常用復雜密碼，防止撞庫；
我有很多黑客網友，但是我們互不知道自己的真實姓名、年齡等，如果可以，不要告訴網友真實個人信息，尤其是名字比較特別的那種同學，千萬不要告訴陌生人名字，一搜一個準，你又不像我們 CEO 趙偉，多么普通的名字；
開發票時，拿同事的名片（坑同事，開玩笑），專門制作相關名片開具信息的卡片，不要使用名片；
快遞單上的收件人不填寫真名（吐槽：中國郵政除外，不填寫真名會被多次教育），盡量不填寫家庭地址，使用公司地址，點外賣也一樣；
使用一些安全防護產品，在不熟悉的設備上登錄賬號密碼時添加動態驗證碼認證。
星塵的萌妹子同事堇年附加了一個建議：筆記本攝像頭記得封上，如果能忍住“自拍”的沖動，手機攝像頭也可以貼上；在外不要亂掃二維碼。
星塵：有個同事，上廁所不鎖電腦屏幕，被我們猜到開機密碼后，登陸進去把他的電腦密碼換掉了，所以我現在不僅在公司，即使在家都會養成離開即鎖屏的好習慣。
星塵：我有一個做網絡安全的朋友，對世界感到絕望，不相信任何移動電子支付手段，絕對不在各種移動支付平臺上綁定自己的銀行卡，所以每次找我們“發紅包”，再給我們現金。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
